CVE-2025-20184 [中] | Input Validation Bypass（Asyncos）

A vulnerability in the web-based management interface of Cisco AsyncOS Software for Cisco Secure Email Gateway and Cisco Secure Web Appliance could allow an authenticated, remote attacker to perform command injection attacks against an affected device. The attacker must authenticate with valid administrator credentials. This vulnerability is due to insufficient validation of XML configuration files by an affected device. An attacker could exploit this vulnerability by uploading a crafted XML configuration file. A successful exploit could allow the attacker to inject commands to the underlying operating system with root privileges.

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-03-16	0.19%	0.07%	-0.13%
2	2025-11-21	0.33%	0.19%	-0.13%
3	2025-11-18	—	0.33%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-03-16

0.19%

0.07%

-0.13%

2025-11-21

0.33%

0.19%

-0.13%

2025-11-18

—

0.33%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
6.5	3.1	MEDIUM	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:H) 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:H) 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。	1.2	5.2	[email protected]
7.2	3.1	HIGH	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:H) 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:H) 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	1.2	5.9	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

6.5

3.1

MEDIUM

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:H): 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:H): 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:N): 業務継続に支障が出るレベルの停止や劣化は想定されない。

1.2

5.2

[email protected]

7.2

3.1

HIGH

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:H): 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:H): 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

1.2

5.9

[email protected]

CVE-2025-20184 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
cisco	asyncos	13.0.0-392	cpe:2.3:o:cisco:asyncos:13.0.0-392:::::::*
cisco	asyncos	13.0.5-007	cpe:2.3:o:cisco:asyncos:13.0.5-007:::::::*
cisco	asyncos	13.5.1-277	cpe:2.3:o:cisco:asyncos:13.5.1-277:::::::*
cisco	asyncos	13.5.4-038	cpe:2.3:o:cisco:asyncos:13.5.4-038:::::::*
cisco	asyncos	14.0.0-698	cpe:2.3:o:cisco:asyncos:14.0.0-698:::::::*
cisco	asyncos	14.2.0-620	cpe:2.3:o:cisco:asyncos:14.2.0-620:::::::*
cisco	asyncos	14.2.1-020	cpe:2.3:o:cisco:asyncos:14.2.1-020:::::::*
cisco	asyncos	14.3.0-032	cpe:2.3:o:cisco:asyncos:14.3.0-032:::::::*
cisco	asyncos	15.0.0-104	cpe:2.3:o:cisco:asyncos:15.0.0-104:::::::*
cisco	asyncos	15.0.1-030	cpe:2.3:o:cisco:asyncos:15.0.1-030:::::::*
cisco	asyncos	15.0.3-002	cpe:2.3:o:cisco:asyncos:15.0.3-002:::::::*
cisco	asyncos	15.5.0-048	cpe:2.3:o:cisco:asyncos:15.5.0-048:::::::*
cisco	asyncos	15.5.1-055	cpe:2.3:o:cisco:asyncos:15.5.1-055:::::::*
cisco	asyncos	15.5.2-018	cpe:2.3:o:cisco:asyncos:15.5.2-018:::::::*
cisco	asyncos	15.5.3-022	cpe:2.3:o:cisco:asyncos:15.5.3-022:::::::*
cisco	asyncos	11.8.0-414	cpe:2.3:o:cisco:asyncos:11.8.0-414:::::::*
cisco	asyncos	11.8.0-429	cpe:2.3:o:cisco:asyncos:11.8.0-429:::::::*
cisco	asyncos	11.8.0-453	cpe:2.3:o:cisco:asyncos:11.8.0-453:::::::*
cisco	asyncos	11.8.1-023	cpe:2.3:o:cisco:asyncos:11.8.1-023:::::::*
cisco	asyncos	11.8.3-018	cpe:2.3:o:cisco:asyncos:11.8.3-018:::::::*
cisco	asyncos	11.8.3-021	cpe:2.3:o:cisco:asyncos:11.8.3-021:::::::*
cisco	asyncos	11.8.4-004	cpe:2.3:o:cisco:asyncos:11.8.4-004:::::::*
cisco	asyncos	12.0.1-268	cpe:2.3:o:cisco:asyncos:12.0.1-268:::::::*
cisco	asyncos	12.0.1-334	cpe:2.3:o:cisco:asyncos:12.0.1-334:::::::*
cisco	asyncos	12.0.2-004	cpe:2.3:o:cisco:asyncos:12.0.2-004:::::::*
cisco	asyncos	12.0.2-012	cpe:2.3:o:cisco:asyncos:12.0.2-012:::::::*
cisco	asyncos	12.0.3-005	cpe:2.3:o:cisco:asyncos:12.0.3-005:::::::*
cisco	asyncos	12.0.3-007	cpe:2.3:o:cisco:asyncos:12.0.3-007:::::::*
cisco	asyncos	12.0.4-002	cpe:2.3:o:cisco:asyncos:12.0.4-002:::::::*
cisco	asyncos	12.0.5-011	cpe:2.3:o:cisco:asyncos:12.0.5-011:::::::*
cisco	asyncos	12.5.1-011	cpe:2.3:o:cisco:asyncos:12.5.1-011:::::::*
cisco	asyncos	12.5.1-043	cpe:2.3:o:cisco:asyncos:12.5.1-043:::::::*
cisco	asyncos	12.5.2-007	cpe:2.3:o:cisco:asyncos:12.5.2-007:::::::*
cisco	asyncos	12.5.2-011	cpe:2.3:o:cisco:asyncos:12.5.2-011:::::::*
cisco	asyncos	12.5.3-002	cpe:2.3:o:cisco:asyncos:12.5.3-002:::::::*
cisco	asyncos	12.5.4-005	cpe:2.3:o:cisco:asyncos:12.5.4-005:::::::*
cisco	asyncos	12.5.4-011	cpe:2.3:o:cisco:asyncos:12.5.4-011:::::::*
cisco	asyncos	12.5.5-004	cpe:2.3:o:cisco:asyncos:12.5.5-004:::::::*
cisco	asyncos	12.5.5-005	cpe:2.3:o:cisco:asyncos:12.5.5-005:::::::*
cisco	asyncos	12.5.5-008	cpe:2.3:o:cisco:asyncos:12.5.5-008:::::::*
cisco	asyncos	12.5.6-008	cpe:2.3:o:cisco:asyncos:12.5.6-008:::::::*
cisco	asyncos	14.0.1-014	cpe:2.3:o:cisco:asyncos:14.0.1-014:::::::*
cisco	asyncos	14.0.1-040	cpe:2.3:o:cisco:asyncos:14.0.1-040:::::::*
cisco	asyncos	14.0.1-053	cpe:2.3:o:cisco:asyncos:14.0.1-053:::::::*
cisco	asyncos	14.0.1-503	cpe:2.3:o:cisco:asyncos:14.0.1-503:::::::*
cisco	asyncos	14.0.2-012	cpe:2.3:o:cisco:asyncos:14.0.2-012:::::::*
cisco	asyncos	14.0.3-014	cpe:2.3:o:cisco:asyncos:14.0.3-014:::::::*
cisco	asyncos	14.0.4-005	cpe:2.3:o:cisco:asyncos:14.0.4-005:::::::*
cisco	asyncos	14.0.5-007	cpe:2.3:o:cisco:asyncos:14.0.5-007:::::::*
cisco	asyncos	14.1.0-032	cpe:2.3:o:cisco:asyncos:14.1.0-032:::::::*
cisco	asyncos	14.1.0-041	cpe:2.3:o:cisco:asyncos:14.1.0-041:::::::*
cisco	asyncos	14.1.0-047	cpe:2.3:o:cisco:asyncos:14.1.0-047:::::::*
cisco	asyncos	14.5.0-498	cpe:2.3:o:cisco:asyncos:14.5.0-498:::::::*
cisco	asyncos	14.5.0-537	cpe:2.3:o:cisco:asyncos:14.5.0-537:::::::*
cisco	asyncos	14.5.0-673	cpe:2.3:o:cisco:asyncos:14.5.0-673:::::::*
cisco	asyncos	14.5.1-008	cpe:2.3:o:cisco:asyncos:14.5.1-008:::::::*
cisco	asyncos	14.5.1-016	cpe:2.3:o:cisco:asyncos:14.5.1-016:::::::*
cisco	asyncos	14.5.1-510	cpe:2.3:o:cisco:asyncos:14.5.1-510:::::::*
cisco	asyncos	14.5.1-607	cpe:2.3:o:cisco:asyncos:14.5.1-607:::::::*
cisco	asyncos	14.5.2-011	cpe:2.3:o:cisco:asyncos:14.5.2-011:::::::*
cisco	asyncos	14.5.3-033	cpe:2.3:o:cisco:asyncos:14.5.3-033:::::::*
cisco	asyncos	15.0.0-322	cpe:2.3:o:cisco:asyncos:15.0.0-322:::::::*
cisco	asyncos	15.0.0-355	cpe:2.3:o:cisco:asyncos:15.0.0-355:::::::*
cisco	asyncos	15.0.1-004	cpe:2.3:o:cisco:asyncos:15.0.1-004:::::::*
cisco	asyncos	15.1.0-287	cpe:2.3:o:cisco:asyncos:15.1.0-287:::::::*
cisco	asyncos	15.2.0-116	cpe:2.3:o:cisco:asyncos:15.2.0-116:::::::*
cisco	asyncos	15.2.0-164	cpe:2.3:o:cisco:asyncos:15.2.0-164:::::::*
cisco	asyncos	15.2.1-011	cpe:2.3:o:cisco:asyncos:15.2.1-011:::::::*

CVE-2025-20184 の参考情報

URL	タグ
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-wsa-multi-yKUJhS34	Vendor Advisory

URL

タグ

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-wsa-multi-yKUJhS34

Vendor Advisory

CVE-2025-20184 | Cisco Secure Email and Web Manager and Secure Web Appliance Command Injection Vulnerability

CVE-2025-20184 の EPSS（Exploit Prediction Scoring System）スコア

CVE-2025-20184 の CVSS（Common Vulnerability Scoring System）指標

CVE-2025-20184 の弱点分類（列挙）

CVE-2025-20184 の影響を受けるソフトウェア／構成

CVE-2025-20184 の参考情報